5Aug
AppArmor je důležitá bezpečnostní funkce, která byla standardně součástí Ubuntu od Ubuntu 7.10.Nicméně, to běží tiše v pozadí, takže možná nebudete vědět, co to je a co dělá.
AppArmor uzamkne zranitelné procesy, což omezuje poškození zabezpečení v těchto procesech. AppArmor lze také použít k uzamčení aplikace Mozilla Firefox za zvýšenou bezpečnost, ale ve výchozím nastavení to nedělá.
Co je AppArmor?
AppArmor je podobný modulu SELinux, který je ve výchozím nastavení používán v systémech Fedora a Red Hat. Zatímco pracují odlišně, AppArmor i SELinux poskytují zabezpečení "povinného řízení přístupu"( MAC).AppArmor ve skutečnosti umožňuje vývojářům Ubuntu omezit procesy, které mohou akce podniknout.
Například jedna aplikace, která je omezena ve výchozím nastavení Ubuntu, je prohlížeč Evince PDF.Zatímco služba Evince může fungovat jako uživatelský účet, může podniknout pouze konkrétní akce. Společnost Evince má pouze minimum oprávnění k práci s dokumenty PDF.Pokud byla objevena chyba zabezpečení v aplikaci Evince pro vykreslování PDF a otevření škodlivého dokumentu PDF, který převzal Evince, AppArmor by omezil škody, které by mohl Evince učinit. V tradičním modelu zabezpečení Linuxu bude mít Evince přístup ke všemu, na který máte přístup. Aplikace AppArmor má přístup pouze k věcem, které prohlížeč PDF potřebuje.
AppArmor je obzvláště užitečné pro omezení softwaru, který může být využíván, jako je webový prohlížeč nebo serverový software.
Zobrazení stavu aplikace AppArmor
Chcete-li zobrazit stav aplikace AppArmor, spusťte následující příkaz v terminálu:
sudo apparmor_status
Uvidíte, zda je ve vašem systému spuštěna aplikace AppArmor( ve výchozím nastavení běží), nainstalované profily AppArmor a omezenéprocesy, které jsou spuštěny.
AppArmor Profily
V aplikaci AppArmor jsou procesy omezeny profily. Výše uvedený seznam zobrazuje protokoly instalované v systému - tyto jsou dodávány s Ubuntu. Můžete také nainstalovat další profily instalací balíčku apparmor-profiles. Některé balíčky - například serverový software - mohou pocházet z vlastních profilů AppArmor, které jsou na systému instalovány spolu s balíčkem. Můžete také vytvořit vlastní AppArmor profily pro omezení softwaru.
Profily mohou pracovat v režimu "stížnost" nebo "režim vynucení". V režimu vynucení - výchozí nastavení pro profily, které se dodávají s Ubuntu - AppArmor zabraňuje aplikacím v přijímání omezených akcí.V režimu stížností aplikace AppArmor umožňuje aplikacím provádět omezená opatření a vytváří záznam o záznamu, který si o tom sděluje. Režim Complain je ideální pro testování profilu AppArmor před tím, než jej povolíte v režimu vynucení - uvidíte chyby, ke kterým by došlo v režimu vymáhání.Profily
jsou uloženy v adresáři /etc/ apparmor.d. Tyto profily jsou soubory prostého textu, které mohou obsahovat komentáře.
Povolení aplikace AppArmor pro aplikaci Firefox
Můžete si také všimnout, že AppArmor je dodáván s profilem Firefoxu - je to usr.bin.firefox soubor v adresáři /etc/ /etc/ apparmor.d .Ve výchozím nastavení není povoleno, protože může příliš ohrozit Firefox a způsobit problémy. /etc/apparmor.d/ zakázat složku obsahuje odkaz na tento soubor, což znamená, že je zakázáno.
Chcete-li povolit profil Firefoxu a omezit Firefox pomocí aplikace AppArmor, spusťte následující příkazy:
sudo rm /etc/apparmor.d/disable/ usr.bin.firefox
cat /etc/apparmor.d/ usr.bin.firefox |sudo apparmor_parser -a
Po spuštění těchto příkazů znovu spusťte příkaz sudo apparmor_status a zjistíte, že jsou nyní načteny profily Firefoxu.
Chcete-li vypnout profil Firefoxu, pokud způsobuje problémy, spusťte následující příkazy:
sudo ln -s /etc/apparmor.d/ usr.bin.firefox /etc/apparmor.d/disable/
sudo apparmor_parser -R /etc/apparmor.d/ usr.bin.firefox
Podrobnější informace o používání aplikace AppArmor naleznete v oficiálnímStránka Ubuntu Server Guide na AppArmor.